Une organisation place sur un serveur de fichiers interne des fichiers « leurres » que personne n'utilise pour son travail, ainsi qu'un compte d'administrateur leurre qu'aucun système n'utilise, et surveille les accès à ces éléments. Quel est le principal avantage de cette mesure ?

Réponse : C. Les utilisateurs légitimes n'ont aucune raison d'y toucher ; tout accès est donc un indice fort d'intrusion, avec peu de faux positifs

Les leurres non utilisés pour le travail (appelés honeypots, honeytokens, leurres, etc.) ne donnent aux utilisateurs légitimes aucune raison d'y toucher ; le simple fait qu'on y ait accédé est donc un signe fort d'anomalie. Contrairement à la détection par anomalies, il n'est pas nécessaire de juger à partir des différences avec l'état normal, et l'avantage est le faible nombre de faux positifs. Les intrus explorent l'intérieur à la recherche de comptes d'administrateur et de fichiers qui semblent importants ; y mêler des leurres peut donc révéler un mouvement latéral à un stade précoce. Les leurres n'empêchent toutefois pas les vrais actifs d'être attaqués ; c'est une mesure d'appoint combinée à d'autres mesures.